Điểm chính

  • Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ đã bổ sung lỗ hổng CVE-2016-3081 vào danh mục khai thác thực tế.
  • Lỗ hổng bắt nguồn từ tính năng Dynamic Method Invocation cho phép tin tặc thực thi mã từ xa trên máy chủ.
  • Các cơ quan và tổ chức được yêu cầu khẩn trương rà soát phiên bản, áp dụng bản vá hoặc vô hiệu hóa tính năng liên quan.

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) vừa phát đi cảnh báo khẩn cấp về lỗ hổng bảo mật định danh CVE-2016-3081 xuất hiện trong framework Apache Struts, yêu cầu các cơ quan liên bang nhanh chóng xử lý trước thời hạn tháng 10 năm 2026.

Chi tiết về lỗ hổng CVE-2016-3081

CVE-2016-3081 là một lỗi tiêm lệnh nghiêm trọng thuộc chuẩn CWE-77, ảnh hưởng đến framework Java phổ biến Apache Struts được dùng để xây dựng các ứng dụng web doanh nghiệp. Lỗi xảy ra do hệ thống thiếu kiểm soát dữ liệu đầu vào trước khi chuyển giao cho trình thông dịch lệnh.

Nguyên nhân sâu xa liên quan đến tính năng Dynamic Method Invocation (DMI). Khi tính năng này hoạt động, kẻ tấn công có thể lợi dụng tiền tố phương thức qua các HTTP request tùy chỉnh để thực thi mã độc, chiếm quyền điều khiển máy chủ hoặc đánh cắp dữ liệu.

Phạm vi ảnh hưởng và yêu cầu từ CISA

Các phiên bản Apache Struts từ 2.3.19 đến 2.3.28 có bật DMI đều nằm trong diện rủi ro. Dù lỗ hổng đã xuất hiện từ lâu, việc tin tặc vẫn tích cực khai thác cho thấy nhiều hệ thống chưa được cập nhật hoặc quản lý tài sản kém.

Đặc biệt, CISA khuyến cáo các đơn vị không chỉ dừng lại ở việc vá lỗi mà cần tiến hành phân tích pháp y triệt để. Hệ thống có thể đã bị xâm nhập từ trước, để lại các cửa hậu hoặc công cụ độc hại.

Biện pháp phòng thủ và khắc phục

Để đảm bảo an toàn cho hạ tầng công nghệ, các đội ngũ bảo mật cần nhanh chóng kiểm kê lại toàn bộ ứng dụng sử dụng Apache Struts. Trong trường hợp chưa thể nâng cấp ngay lên các phiên bản đã vá như 2.3.20.3, 2.3.24.3 hay 2.3.28.1, quản trị viên cần vô hiệu hóa DMI trong tệp cấu hình struts.xml.

Bên cạnh đó, việc siết chặt kiểm soát truy cập thông qua tường lửa ứng dụng web hoặc VPN là rất cần thiết. Các kỹ sư cũng phải kiểm tra kỹ lưỡng nhật ký hệ thống để phát hiện sớm các yêu cầu bất thường hoặc tiến trình lạ nhằm ngăn chặn kịp thời các cuộc tấn công tiếp theo.